En tehlikeli siber saldırı yöntemlerinden birisi sosyal mühendislik. Çevrenizde insanları etkileme kabiliyetine sahip tanıdıklarınız var mı? Cevabınızın fark etmeksizin bu tür insanlarla karşılaşma olasılığınız yüksektir. Bazen iş yerinizde bir görev dağılımı yaparken, bazen okulda hocalarınız ile görüşürken, bazen de bir alışveriş/ticaret esnasında ikna kabiliyeti yüksek kimselere denk gelmişsinizdir. Bu insanlar, karşı taraftaki kişiyi sorduğu sorularla, verdiği yanıtlarla veya açtığı konularla, kendi istekleri doğrultusunda sizi manipüle edebilmektedir.
Örneğin, yaşamanızda evcil hayvanlar sizin için büyük bir yer tutuyor ve bu konuyu çok önemsiyorsunuz. Bu durumu öğrenen kişi, konu hakkında sizinle sohbet ederek, kendisini size karşı olumlayabilir. Akabinde ise kendi çıkarları doğrultusunda yaptırmak istediği şeyde sizi kullanabilmektedir. İlk duyuşta, kulağa kötü gelebilmektedir.
Ancak hedefe giden yolda, bu gibi uygulamalara sıklıkla başvurulmaktadır. Sosyal mühendislik, genel tanımı itibari ile ‘insanları hacklemek’ olarak da bilinmektedir. Hacklenme kavramına değinmişken, bu konu aynı zamanda siber güvenlik için elzem bir madde olup, teknik bilgiyle kullanıldığında her türlü sisteme erişebilme imkanı da tanımaktadır.
Unutmayın ki, hiçbir sistem güvenli değildir. Çünkü bu sistemler, insanlar tarafından geliştirilip, kontrol edildiğinden her zaman için bir açık vardır. Teoride imkansız dahi görünse de pratikte, insanlarla etkileşime geçildiğinde her zaman bir olasılık bulunmaktadır. Peki, ‘Sosyal Mühendislik Nedir?’ Hayatın her alanında karşılaşabileceğimiz sosyal mühendisler için sorunun detaylarına inelim.
Sosyal Mühendislik Nedir?
Bir diğer ismi ile toplum mühendisi olarak da bilinmektedir. Gerek fiziksel gerekse de sanal dünyada bulunmaktadırlar. Özellikle phishing (oltalama) adı verilen yöntemlerle karşımıza çıkabilmektedirler. İyi bir sosyal mühendisin senaryo yetenekleri de gelişmiştir. Dolayısıyla amacına ulaşmadan evvel iyi bir planlama evresi gerçekleştirmektedirler.
Hedef sisteme erişmek için öncelikle kendisine bir veya daha fazla sayıda kurban seçerler. Akabinde onların hangi hususlardan etkilenebileceğinin araştırmaları içerisine girmektedir. Böylece karşı tarafın ilgi alanları, zafiyetlerini tespit ederek, uygulama aşamasına geçmektedir. Tabii ‘bu ilgi alanları nasıl keşfedilir ki’ gibi bir soru aklınıza gelmiş olabilir. Unutmayın! Dijital bir çağda yaşıyoruz. Çoğu insan birden fazla sosyal medya mecrasını aktif olarak kullanmaktadır. Bu platformlar ise, kişiliğiniz hakkında zaten birçok tüyo vermektedir.
Örneğin, resim yapmaktan fazlasıyla hoşlanıyorsunuz. Bunu bilen bir sosyal mühendis, size paletler, fırçalar ve diğer ekipmanların büyük bir indirimde olduğunu belirten bir mail gönderebilir. Mail içerisinde de ilgili siteye erişmeniz için bir link vardır. Siz böyle bir durumda o linke tıklar mıydınız? Temel siber güvenlik eğitimini tamamlamış bir kişi kuvvetle muhtemel bu linke tıklayacaktır. Peki, şimdi ne oldu dersiniz? Bu link, bilgisayarınıza casus yazılım yüklemiş olabilir. Kullandığınız cihaz eğer şirkete ait ise bu kişi şirketin sunucularına erişebilir ve hedefine ulaşabilir. Bir diğer ihtimal ise, sizi paravan bir alışveriş sitesine yönlendirerek, sahte ödeme paneli sayesinde kredi kartı bilgilerinizi öğrenebilmektedir. Bu ve bunun gibi birçok durumla karşı karşıya kalabilirsiniz. Peki, sosyal mühendisliğe maruz kalmamak için neler yapmalısınız?
Sosyal Mühendislikten Nasıl Korunabilirim?
Öncelikle bilmeniz gereken çok önemli bir deyim vardır; ‘bedava peynir, yalnızca fare kapanında olur.’ Dolayısıyla size “harika bir teklif, süper indirimler, ücretsiz hizmet” vb. gibi gelen mesajlara lütfen itibar etmeyin. Özellikle tarafınıza gelen maillerin gönderen kişisine azami dikkati göstermelisiniz. Keza mail içerisinde olan dosyaları indirmeyin ve link varsa tıklamayın. Tabii bu durumu da paranoyaklık haline getirmemenizde fayda var. Eğer mailin kimden geldiğini biliyorsanız ve güveniyorsanız, dikkatli bir biçimde aksiyon alabilirsiniz. Ancak kimin tarafından geldiğinden emin değilseniz, maddi ve manevi bakımdan zarar uğramamak için hassasiyet göstermelisiniz.
Özellikle hackerler, sosyal mühendislik becerilerine çok büyük önem vermektedir. Kimi zaman sadece mail yolu ile değil, doğrudan çalıştığınız şirkete kadar gelebilirler. Hatta sizi telefonla arayarak, sanki bir müşteri veya ortağınız gibi davranabilirler. Finalde ise elde etmek istedikleri bilgileri sizden kolaylıkla alabilirler. Çoğu zaman bu durumun farkına dahi varamazsınız. Bundan dolayı karşı taraftan kiminle muhatap olduğunuzu iyi bilmeli ve sorularınızı buna istinaden oluşturmalısınız. Siber güvenliğin temel yapı taşlarından olan sosyal mühendislik ile manipüle edilmeyin. Maddi ve manevi değerlerinizi korumak adına interneti nasıl daha güvenli kullanabileceğinizin araştırmalarını yapın.
Bir Sosyal Mühendislik Yöntemi Olan Pretexting
Sosyal mühendislik yöntemlerinden birini temsil eden pretexting, saldırganların bir hikaye üreterek internet kullanıcılarını kandırmaya çalıştıkları ve hassas bilgilerini ele vermeye zorladıkları saldırı anlamına geliyor. Pretext saldırısında amaç, hedef belirlenen kişiye iletilen hikaye ile normalde paylaşmayacağı hassas bir bilgiyi iletmesini sağlamak ve bunu yaparken güvende olduğu hissi kazandırmak…
Pretext’ten korunmak için aşağıdaki noktalara dikkat edin:
- Her zaman e-postayı gönderen kişiyi tespit edin. Aynı zamanda yeni bir bağlantıdan bir mesaj bekleyip beklemediğinizden de emin olun.
- E-posta üzerinde hassas bilgi paylaşmayın. Eğer acil içerikli bir mesaj bile alsanız sakın hemen cevap vermeyin ve size gönderilen e-postayı dikkatle inceleyin.
- Gönderen bilgilerini kontrol edin: E-postanın meşru bir kaynak ve kişiden mi geldiğini yoksa hayali bir karakterden mi geldiğini kontrol edin. Aynı zamanda şüpheli görülecek her detayı kontrol edin (yanlış yazılan isimler gibi).
- Şüpheli e-postaları başkalarına iletmeyin, güvenlik birimine bildirin!
Sosyal mühendislik fidye yazılım saldırılarında yoğun şekilde kullanılıyor
Günde 140 farklı ülkeden gönderilen 2 milyondan fazla dosyayı işlediği kaydedilen bir siber güvenlik platformunun analizlerine göre siber korsanlar, fidye yazılımları en çok sosyal mühendislik yoluyla ve sahte uygulamalar, programlar, vb. üzerinden yayıyor.
Fidye yazılım saldırılarının durmasının beklenmediği, saldırganların farklı yaklaşımlarla hareket etmeye devam edecekleri öngörüsü paylaşılıyor.
Şifrelere Dikkat!
Sosyal medya, siber suçluların çeşitli saldırılar düzenlemek için kullanabileceği veriler ile dolu. Sadece sosyal medya hesaplarınıza göz atarak siber suçlular e-posta adresinizi görebilir, seyahat etmekten hoşlandığınız yerleri bulabilir, evcil hayvanlarınızın ismini öğrenebilir ve işyeriniz hakkında bilgi edinebilir…
Tüm bu bilgileri gözden geçirmelerinin sebebi ise şifrelerin genelde kişisel bilgilerle bağlantılı olduğunu bilmelerinde yatıyor.